Pse RDP ngrin kur kompjuteri në distancë lidhet me një VPN

Ju jeni brenda dritares së RDP, desktopi është në ekran dhe shtypni Connect në klientin VPN që ecën në atë makinë në distancë. Disa sekonda më vonë dritarja ngrin dhe më pas mbyllet. Tuneli u ngrit, pikërisht këtë do të raportojë regjistri i VPN-së, dhe ky është fakti më pak i dobishëm në gjithë incidentin. Sesioni vdiq sepse makina me të cilën flisnit ndryshoi mënyrën sesi ju përgjigjet, prandaj shqyrtoni rrugën e kthimit përpara se të prekni tunelin.

Regjistro pikën fundore që sesioni juaj përdor vërtet

Adresa e shtypur në klientin RDP nuk është domosdoshmërisht adresa së cilës i përgjigjet kompjuteri në distancë. NAT, një RD Gateway ose një balancues ngarkese përpara hostit mund ta rishkruajnë atë, dhe rruga e kthimit përcaktohet nga adresa burimore që makina në distancë sheh në lidhjen e vendosur. Gabimi këtu ju dërgon të kërkoni një rrugë që nuk ishte përfshirë kurrë.

Në kompjuterin në distancë, përpara se VPN-ja të jetë e lidhur, listo sesionet e vendosura dhe lexo adresën e palës nga tabela. Më pas shkruaje diku jashtë asaj makine, sepse nuk do të mund ta lexosh pasi sesioni të bjerë.

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

Trajtoje atë adresë si gjënë që duhet të mbetet e arritshme. Nëse është adresë private në një VLAN administrimi, tuneli duhet ta lërë atë rrugë në paqe. Nëse është adresë publike, përgjigja duhet të dalë përmes të njëjtit ndërfaqe që e solli kërkesën brenda.

Lexo rrugën që i përgjigjet asaj pike fundore

Windows zgjedh një ndërfaqe për çdo destinacion, dhe Find-NetRoute tregon vendimin që do të merrte tani. Ekzekutoje mbi adresën e palës përpara lidhjes, më pas përsëri me tunelin lart, dhe krahaso indeksin e ndërfaqes dhe hapin tjetër në të dy përgjigjet. Ndryshimi i ndërfaqes është i gjithë defekti në një rresht daljeje.

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

Një profil tuneli i plotë instalon një rrugë të paracaktuar përmes tunelit, siç e përshkruan udhëzuesi i Windows për rrugëtimin e VPN-së, kështu që çdo përgjigje tani del përmes VPN-së dhe varet nga fakti që pala tjetër rrugëton mbrapsht drejt klientit tuaj. Një profil tuneli i ndarë është më i sigurt si parazgjedhje, por nuk është imun, sepse një rrugë specifike që mbulon adresën e palës mund të mundë akoma rrugën fizike të paracaktuar. Në çdo rast pyetja është e njëjtë: pasi tuneli ngrihet, a zgjidhet akoma adresa e palës drejt ndërfaqes që e solli sesionin brenda?

Nëse jo, korrigjimi i përket profilit ose një rrugë përjashtimi të shprehur që miratohet nga pronari i politikës së VPN-së. Redaktimi me dorë i tabelës së rrugëtimit në një host prodhimi gjatë një incidenti është mënyra sesi një zgjidhje e përkohshme bëhet konfigurim i padokumentuar.

Vëzhgo ndryshimin e profilit të firewall-it

Një ndërfaqe e re klasifikohet kur shfaqet, dhe klasifikimi vendos se në cilin profil të firewall-it gjykohet trafiku i saj. Një përshtatës tuneli që bie në kategorinë Public mund të ndalojë në heshtje RDP-në hyrëse, edhe kur tabela e rrugëtimit duket e përsosur. Ky është mënyra e dytë e dështimit dhe prodhon një simptomë tjetër: rruga është e saktë, paketat mbërrijnë dhe hosti e refuzon lidhjen.

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Krahaso profilin e lidhur me ndërfaqen e tunelit me profilet për të cilat janë përcaktuar rregullat e Remote Desktop. Një rregull i aktivizuar vetëm për Domain dhe Private nuk bën asgjë për një ndërfaqe të klasifikuar si Public, dhe asnjë korrigjim rrugëtimi nuk e ndryshon këtë. Disa klientë VPN kufizojnë edhe nga projekti aksesin në nënrrjetin lokal, gjë që prodhon të njëjtën formë dështimi nga një mekanizëm tjetër.

Testo kalimin nga një vend prej nga mund të kthehesh

Bëj gjithë sekuencën nga një konsolë jashtë brezit ose një rrugë e dytë administrimi, në këtë rend: konfirmo sesionin ekzistues, lidh VPN-në, hap një sesion të re, më pas shkëput VPN-në dhe hap një tjetër. Çdo hap teston një kalim tjetër, dhe i pari që dështon të tregon cili mekanizëm është përgjegjës.

Planifiko rikthimin përpara se të nisësh, për shembull një detyrë e planifikuar që ekzekuton rasdial "Work VPN" /disconnect pas një intervali të caktuar. Kjo e shndërron një sesion të humbur në një ndërprerje pesë minutash në vend të një vizite në vendndodhje, dhe është sigurimi më i lirë në gjithë procedurën.

Kthehu brenda kur sesioni ka humbur tashmë

Nëse hosti është tashmë i paarritshëm, ndalo së provuari lidhje të reja RDP nga i njëjti klient dhe përdor kanalin e rikuperimit që mjedisi ka tashmë: një RD Gateway, një konsolë hipervizori ose një ndërfaqe administrimi jashtë brezit. Kërkoji personit me akses në konsolë të ekzekutojë të njëjtat komanda Find-NetRoute dhe Get-NetConnectionProfile, që provat t'i mbijetojnë rikuperimit.

Më pas vendos rregullimin e përhershëm dhe jo më të shpejtin. Ose rruga e administrimit ruhet shprehimisht nga profili i VPN-së, ose administrimi kalon në një kanal që nuk varet nga rruga e paracaktuar e hostit. Të dyja janë të mbrojtshme; një rrugë hosti me një portë të hamendësuar nuk është. Shkruaj cilën zgjodhët, dhe regjistro adresën e palës që duhej të mbijetonte.